---
title: "Gitea 28.3.0 修補二十一項保安漏洞 自架實例應盡快升級"
url: https://sammy.hk/gitea-28-3-0-security-release/
author: Ethan
published: 2026-11-02T15:26:00+08:00
modified: 2026-11-02T09:56:09+08:00
description: "Gitea 於 2026 年 11 月 1 日發佈 28.3.0，屬於 28 系列第三個維護版本。官方公告列出二十一項 CVE，並強烈建議所有用戶緊急升級；本版本同時包含六十個已合併的 pull request，以及針對 Actions、議題、拉取請求與套件管理的修正與效能改進。由於多項漏洞涉及權限權限範圍與工作流信任…"
categories: ["開放源碼"]
tags: [Gitea, "保安漏洞", "自架服務", "開源"]
source: https://sammy.hk
---
![Gitea 28.3.0 安全更新 修補 21 項 CVE 漏洞 請立即升級](https://sammy.hk/wp-content/uploads/2026/11/openrouter_google_gemini-3_1-flash-lite-image_20261102_095307_4a9f427f.jpg)Gitea 於 2026 年 11 月 1 日發佈 28.3.0，屬於 28 系列第三個維護版本。官方公告列出二十一項 CVE，並強烈建議所有用戶緊急升級；本版本同時包含六十個已合併的 pull request，以及針對 Actions、議題、拉取請求與套件管理的修正與效能改進。由於多項漏洞涉及權限權限範圍與工作流信任，自架實例的管理員須優先處理。

## 最嚴重問題為 OAuth2 帳戶接管

編碼 CVE-2026-120263 的漏洞影響啟用 `ACCOUNT_LINKING = auto` 且開放註冊的站台。在該設定下，使用者透過 OAuth2 提供者登入後，可在連結帳戶的身份表單中輸入既有帳戶的使用者名稱或電子郵件地址，既有帳戶即被連結至外部身份分，並在無需密碼的情況下完成登入。修正後，系統只會自動連結外部身份分所對應的電子郵件或使用者名稱指向的帳戶。若站台仍使用自動連結並開放註冊，相關風險最高。

## 權限權限與工作流漏洞

多項漏洞源於 `public-only` 權限限制未被完整套用。CVE-2026-117635 指出，管理員 API 未套用權限限制，令管理員的 public-only 權限可列出所有使用者電子郵件、建立私有組織與 runner 權限，甚至新增管理員。CVE-2026-119441 涉及 `DELETE /api/v1/orgs/{org}/repos`，組織擁有者的 public-only 權限可刪除組織所有倉庫，包括私有倉庫。另有一 CVE-2026-112887，指出 Actions 任務權限沒有權限範圍，任務的 `GITEA_TOKEN` 可透過 `GET /api/v1/user/repos` 列出實例上所有私有倉庫。

工作流信任方面，CVE-2026-118386 允許具讀取權限的使用者在同一倉庫的拉取請求上提交審查，並把 `commit_id` 指向自己的提交，令 `pull_request_review` 工作流在未經批准下以該提交執行，取得倉庫密鑰及可瀏覽權限；修正後改為在拉取請求的 head 上執行。CVE-2026-113429 涉及輕量版 Actions 產物上傳，未經檢查便緩存 `Content-Encoding` 標頭並以 `Content-Type` 回傳，工作流可上傳在 Gitea 網域上以 HTML 呈現的產物，形成倉庫型跨站腳本攻擊。CVE-2026-117677 指出 Helm chart 上傳在檢查權限前便解壓整個檔案，且沒有大小上限，具權限者可耗盡服務器資源。

## 升級注意：簽署信任範圍改變

CVE-2026-111943 並非程式碼漏洞，而是建置鏈變更。28.3.0 的官方二進位改以 Go 1.27.3 建置，因簽發機構的保安問題，新版本不再信任任何一組中繼簽署。此改動影響 Gitea 對外連線的簽署檢查，包括 OAuth2 提供者、webhook、鏡像與遷移。升級後若相關服務的簽署鏈依賴已被移除的中繼簽署，連線可能會失效，管理員須在升級前檢查外部服務的簽署鏈，並預留處理時間。

## 其他修正與升級建議

效能方面，本版本加快議題與拉取請求清單及倉庫清掃，修正資料表索引，令 SQLite 不再在管理員任務列表頁讀取近乎全部任務記錄；runner 權限驗證結果亦會較快取回。倉庫界面，Git 保護預設策略改為 `gc`，重新命名的檔案在 diff 中會正確載入兩個 blob。行為修正包含：停用 Actions 的倉庫不再被 runner 取用、鑰匙綁定的拉取請求拒絕留下新審查留言、`ALLOW_FORK_INTO_SAME_OWNER` 對組織生效。升級時須先備份資料庫與設定檔，替換二進位後重新啟動服務，並確認版本標籤為 v28.3.0。若短期內無法升級，可考慮關閉開放註冊，或把 `ACCOUNT_LINKING` 由 `auto` 改回預設的 `login`，以下降帳戶接管風險；惟此權宜不能修補其餘權限與工作流漏洞，實際防禦仍以升級為準。

## 參考資料

\[1\] [Gitea 28.3.0 is released（2026-11-01）](https://blog.gitea.com/release-of-28.3.0/)

\[2\] [GHSA-8p3x-w464-4g6v 安全公告](https://github.com/go-gitea/gitea/security/advisories/GHSA-8p3x-w464-4g6v)

\[3\] [Gitea v28.3.0 版本標籤](https://github.com/go-gitea/gitea/releases/tag/v28.3.0)

### 相關文章：

1. [GitHub 用 AI 代理把 Copilot 執行時重寫為 Rust：832,378 行與 96% 提示快取命中](https://sammy.hk/github-%e7%94%a8-ai-%e4%bb%a3%e7%90%86%e6%8a%8a-copilot-%e5%9f%b7%e8%a1%8c%e6%99%82%e9%87%8d%e5%af%ab%e7%82%ba-rust%ef%bc%9a832378-%e8%a1%8c%e8%88%87-96-%e6%8f%90%e7%a4%ba%e5%bf%ab%e5%8f%96%e5%91%bd/ "GitHub 用 AI 代理把 Copilot 執行時重寫為 Rust：832,378 行與 96% 提示快取命中")
2. [Gzip 1.15 修好一批自問世以來就存在的 bug](https://sammy.hk/gzip-1-15-%e4%bf%ae%e5%a5%bd%e4%b8%80%e6%89%b9%e8%87%aa%e5%95%8f%e4%b8%96%e4%bb%a5%e4%be%86%e5%b0%b1%e5%ad%98%e5%9c%a8%e7%9a%84-bug/ "Gzip 1.15 修好一批自問世以來就存在的 bug")
3. [GNOME 51 發佈：圖形效能、系統設定與離線地圖齊齊更新](https://sammy.hk/gnome-51-%e7%99%bc%e4%bd%88%ef%bc%9a%e5%9c%96%e5%bd%a2%e6%95%88%e8%83%bd%e3%80%81%e7%b3%bb%e7%b5%b1%e8%a8%ad%e5%ae%9a%e8%88%87%e9%9b%a2%e7%b7%9a%e5%9c%b0%e5%9c%96%e9%bd%8a%e9%bd%8a%e6%9b%b4%e6%96%b0/ "GNOME 51 發佈：圖形效能、系統設定與離線地圖齊齊更新")
4. [KDE Plasma 6.8 進入測試階段：十月十四日與 KDE 三十週年同日推出](https://sammy.hk/kde-plasma-6-8-%e9%80%b2%e5%85%a5%e6%b8%ac%e8%a9%a6%e9%9a%8e%e6%ae%b5%ef%bc%9a%e5%8d%81%e6%9c%88%e5%8d%81%e5%9b%9b%e6%97%a5%e8%88%87-kde-%e4%b8%89%e5%8d%81%e9%80%b1%e5%b9%b4%e5%90%8c%e6%97%a5%e6%8e%a8/ "KDE Plasma 6.8 進入測試階段：十月十四日與 KDE 三十週年同日推出")